前几篇CS系列课我们聊了计算机化系统的定义与分类、重要法规与指南，以及合规体系搭建的整体思路。今天回到企业最关心的落地问题：合规体系需要哪些文件？每份文件的核心内容是什么？

文件分层架构

计算机化系统合规管理文件分为三个层级：

合规管理若覆盖上述主要内容并在日常运营中落实，可确保基本的法规符合性，避免出现严重或主要缺陷。

这是一份总体合规文件，可理解为针对法规要求的设计文件。编制时需对照GMP具体条款（如中国GMP附录：计算机化系统，或欧盟GMP附录11），说明法规要求在公司的具体落地方式。

需写入的原则性要求包括：系统替代人工时不得增加总体风险、人员资质要求及协作方式。由于法规条目较多，不宜将所有细节塞入同一份文件，应将具体操作内容拆分至二级管理程序，通过索引建立关联。

实操层面还需关注：建立编号规则确保系统唯一性，维护系统清单。对于权限管理功能不完善、关键操作留不下记录的历史遗留系统，应建立通用纸质记录模板作为辅助证据。

验证管理遵循行业法规与指南提供的成熟方法论，有助于识别系统基础风险并制定相应控制措施。验证工作做得深一点还是浅一点，每个企业都会有些差异，但只要按照指南的框架走，验证策略和逻辑就能获得行业内人员的广泛认可，效率也会更高。

关于验证截图：截图数量应基于具体系统特性决定。若系统能保存测试过程的原始电子数据，或采用视频留证等方式，截图的必要性会相应降低。验证证据保持充分即可，不必过度截图。

风险评估应贯穿系统全生命周期。

• 概念阶段开展初始风险评估，包括GxP影响性评估、电子签名适用性评估等。
• 设计阶段基于系统具体设计与用户需求，开展软硬件分类评估、功能风险评估、组件关键性评估及失效模式与影响分析（FMEA）。
• 系统发生变更时，同样需基于风险评估来制定变更控制措施。

评估对象包括三类：提供软件产品的厂商、提供IT基础设施服务的供应商、SaaS订阅式软件服务商——凡影响GxP相关活动的供应商，均需纳入评估范围。

评估策略因供应商类型而异：可采取公开信息收集、问卷调查或纸面审计、远程审计等方式；对关键供应商应开展现场审计，必要时要求案例演示。项目结束后，还需通过定期审核与评价，确保供应商持续保持合规状态。

这里有一个容易被忽略的点：SaaS供应商的数据存储位置和跨境传输合规性，应在评估中单独确认。

业务持续性管理应以“业务流”为对象，识别保障业务持续性的控制措施。

业务持续性计划需包含以下要素：风险因素识别、风险分析及影响评估、控制措施及所需资源（人员、物料、设备等）、相关文件及人员培训情况、演练安排（周期、方式、结果等）。需注意，业务持续性管理的范畴大于灾难恢复，二者不可混淆。

时钟同步管理应覆盖所有作为GMP活动时间源的系统、设备、仪器和时钟。建议建立清单，开展编号管理以便追溯，同时明确所属部门、安装位置及负责人信息。

管理要点包括：同步方式（自动或手动，自动同步的频率、手动同步的操作周期）、时间偏离的标准与处置方式。标准可根据业务活动定义至分钟级或秒级。偏离在标准范围内，记录偏离值并调整即可；超出标准范围，则需启动偏差流程，分析影响、调查原因并制定纠正预防措施。

以上为计算机化系统合规体系的核心文件框架。各企业可结合自身实际情况，在该框架下进行细化和落地实施。